Российские организации атакует троян-стилер NOVA

Российские организации атакует троян-стилер NOVA

Российские организации атакует троян-стилер NOVA

Действующие в России злоумышленники активно осваивают коммерческий инструмент кражи данных, появившийся на черном рынке в прошлом году. Троян NOVA на поверку оказался модом популярного в криминальных кругах инфостилера SnakeLogger.

Новобранец, по словам BI.ZONE, предлагается к продаже в Telegram с августа 2024 года. Для защиты зловреда от обнаружения тот же автор создал криптор, который предоставляется в пользование за отдельную плату.

В этом месяце эксперты зафиксировали множество атак NOVA на российский госсектор и бизнес. Похищенные вредоносом данные в основном предназначены для продажи в даркнете.

Новый Winsows-стилер рассылается в письмах с вредоносным вложением. Примечательно, что злоумышленники даже не пытаются замаскировать его под легитимный документ — просто присваивают архивному файлу имя, соответствующее теме письма, к примеру, «Договор.exe».

После запуска экзешник извлекает из ресурсов (zabawa2) данные, скрытые по методу стеганографии, выполняет декодирование, копирует себя под другим именем в AppData\Roaming и запускает PowerShell, чтобы добавить свой файл в исключения Microsoft Defender.

Для обеспечения постоянного присутствия в системе создается запланированное задание. После этого вредонос запускает себя в режиме ожидания и внедряет в дочерний процесс полезную нагрузку — стилер NOVA (на VirusTotal детектится с результатом 48/68 на 29 января).

Для получения IP-адреса жертвы троян обращается к сервисам checkip[.]dyndns[.]org и reallyfreegeoip[.]org. Он умеет собирать сохраненные учетки, регистрировать клавиатурный ввод, делать скриншоты, извлекать данные из буфера обмена.

Для эксфильтрации краденого может использоваться SMTP. В подвергнутом анализу образце были также предусмотрены функции отключения Microsoft Defender, диспетчера задач, редактора реестра; командной строки, однако кода для их выполнения аналитики не обнаружили.

По данным BI.ZONE, на долю SnakeLogger в настоящее время приходится 23% атак с использованием стилеров. Догонит ли его NOVA по популярности, покажет время.

«Новый инструмент несколько отличается от предшественника: за счет оптимизации кода и обновления архитектуры NOVA сложнее распознать привычными средствами обнаружения», — подытожил результаты анализа Олег Скулкин, руководитель BI.ZONE Threat Intelligence.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Число «зондирующих» DDoS-атак в России выросло в 10 000 раз

Компания StormWall зафиксировала резкий рост коротких «зондирующих» DDoS-атак в рунете. Такие атаки, длящиеся не более 15 минут, используются злоумышленниками не для нанесения прямого ущерба, а в разведывательных целях — чтобы понять, как устроена защита, какие фильтры срабатывают, где слабые места.

По данным StormWall, в мае 2025 года таких атак было свыше 450 тысяч, тогда как год назад — всего 44. Это взрывной рост — в 10 000 раз. Почти половина всех DDoS-атак в первом квартале 2025 года также укладывается в категорию «зондирующих».

Как правило, они идут по HTTP/HTTPS (уровень L7) и имитируют действия обычных пользователей — например, с ограниченного числа IP-адресов запускаются HTTP-флуды или формируются всплески RPS без длительной нагрузки. Это затрудняет их обнаружение: классические фильтры или WAF могут не среагировать.

Есть несколько косвенных признаков, по которым можно заподозрить зондирование:

  • короткие, повторяющиеся всплески трафика;
  • неожиданные пиковые нагрузки на frontend, API или админки;
  • кратковременные перебои (5–10 минут);
  • флуктуации без очевидной причины.

Если такие сигналы появились, специалисты рекомендуют усилить наблюдение за инфраструктурой — от сети до приложений, перепроверить работу защитных механизмов (WAF, rate limiting, антибот-фильтры), при необходимости — переобучить поведенческую модель. В ряде случаев может потребоваться пентест или имитация атаки, чтобы подготовиться к возможному масштабному удару.

По словам представителей StormWall, игнорировать «зондирующие» атаки нельзя. Это подготовка к чему-то большему. Если система не будет готова, в момент настоящей атаки могут быть серьёзные перебои, компрометация API или внутренних компонентов. В отдельных случаях — ощутимые финансовые потери для бизнеса, особенно в сфере e-commerce, доставки, бронирования и онлайн-игр.

Недавно мы писали про самую мощную DDoS-атаку в истории: Cloudflare отбила удар в 7,3 Тбит/с.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru